Tag: it-lieferketten

Cyberangriffe auf Software-Lieferketten können gravierende Auswirkungen haben. Doch es gibt Werkzeuge und Prozesse, die Schutz und schnelle Reaktion ermöglichen. Welche Rolle dabei Open Source spielt, erläutert Lars Francke, CTO und Gründer von Stackable.

Ein autonomer Coding-Assistent installierte im März 2026 unwissentlich ein präpariertes Softwarepaket. Kein Mensch drückte auf Installieren, die KI tat es selbst. Angreifer nutzen für neuartige Supply-Chain-Angriffe gezielt aus, dass KI-Agenten heute längst automatisiert handeln.

Schadcode in Open-Source-Paketen läuft mit denselben Rechten wie le­gi­ti­mer Code, wird automatisch verteilt und bleibt dabei oft monatelang un­ent­deckt. Ein einziges kompromittiertes Paket kann tausende Unternehmen gleichzeitig treffen. Klassische IT-Security zielt auf Netzwerke und Betriebs­sys­te­me, doch die Software-Lieferkette bleibt der blinde Fleck.

WordPress: Lieferkettenangriff auf Plug-ins gefährdet 1,2 Millionen InstanzenAlertheise Security Quelle: Heise Security Ticker

KI-Systeme erstrecken sich über Cloud-Plattformen, Drittanbieter, APIs und automatisierte Workflows. Damit wird jede klassische Netzwerkgrenze ob­so­let. Identität wird zur primären Steuerungsebene, denn kompromittierte Zugangsdaten, offene API-Schlüssel und unkontrollierte Ma­schi­nen­i­den­ti­tä­ten schaffen in KI-Umgebungen systemische Risiken.

Fast die Hälfte der deutschen Unternehmen wurden 2024 Opfer eines Cyberangriffs, häufig nicht über eigene Systeme, sondern über Schwachstellen bei Dienstleistern und Zulieferern. Die Lieferkette wird so zum trojanischen Pferd der Cybersicherheit. Regulatorische Vorgaben wie das LkSG machen Supply-Chain-Risikomanagement inzwischen zur Pflicht.

Rasch und unsicher eingesetzte KI schafft unsichtbare Risiken, wie ver­wais­te Rollen, übermäßige Rechte und kompromittierte Drittanbieter, die die Angriffsflächen öffnen. Tenable sieht Handlungsbedarf für Sicherheit und Governance und gibt Empfehlungen.

heise security Tour: KI, Identitäten und Lieferkette versus Securityheise-Angebotheise Security Quelle: Heise Security Ticker